macOS 安全与隐私加固（Security Skills 集合中的技能，基于 drduh/macOS-Security-and-Privacy-Guide）。该指南面向 Apple 芯片 Mac，覆盖当前受支持的 macOS 版本，提供企业级安全实践。资料明确说明：Intel Mac 存在未修补的硬件漏洞，不推荐使用。
威胁建模 在实施安全措施之前先建立威胁模型：识别资产（设备如手机与笔记本、数据如密码与浏览记录与文档、账户如邮箱与银行与社交媒体）；识别对手，例如熟人/室友（隐私窥探，具备物理接触能力）、窃贼（经济利益，会窃取未锁定设备）、犯罪分子（经济目的，使用恶意软件与社会工程）、企业（数据营销，进行遥测收集）、国家/地区级/APT（定向监控，高级持续性威胁）。资料以表格形式给出对手、动机、能力与缓解措施的对应示例。
系统安装 使用适用于本机的最新受支持版本；文中列出检查当前版本（sw_vers）、检查更新（softwareupdate --list）与安装全部更新（sudo softwareupdate --install --all）命令，以及制作可引导安装器的示例命令（createinstallmedia）。Apple 芯片 Mac 在安装期间需要与 Apple 服务器激活以防盗。初始设置中如无需要可跳过 Apple 账户创建，并给出用命令行开启自动更新的示例。
管理员与用户账户 遵循最小权限原则，将管理员账户与标准用户账户分离。资料给出创建标准用户的 dscl 命令序列、创建主目录、验证用户非管理员，以及要求管理员密码（security authorizationdb write system.preferences authenticate-admin）和设置密码策略（pwpolicy）的示例。需要管理员密码才能打开系统偏好设置。
固件密码 用于防止从外部介质启动。检查是否已设置（sudo firmwarepasswd -check）；Apple 芯片需进入恢复模式（重启并按住电源键直至出现“正在载入启动选项”，点击“选项”，进入“实用工具 > 启动安全性实用工具”）开启固件密码。
FileVault 加密 启用全盘加密：查看状态（sudo fdesetup status）、启用（sudo fdesetup enable，会生成恢复密钥需妥善保存）、列出用户、添加用户、更改密码。资料强调恢复密钥须保存在安全位置，否则忘记密码后数据不可恢复。
锁定模式（Lockdown Mode） 针对高威胁模型启用，可通过“系统设置 > 隐私与安全性 > 锁定模式”开启。它会阻止大多数消息附件、限制网页技术（JIT、字体）、锁定时阻止有线连接、阻止配置描述文件。
防火墙配置 应用层防火墙：启用（socketfilterfw --setglobalstate on）、启用日志、启用隐身模式（不响应探测）、查看状态。分组过滤（PF）：通过 /etc/pf.conf 编写高级规则，文中给出示例配置（默认拒绝、scrub、允许已建立连接、允许 DNS/HTTPS/NTP，以及使用 blocklist 表屏蔽特定网段），并给出校验语法、启用、查看规则与状态、清空规则的命令。
禁用服务 通过禁用不必要服务减少攻击面：关闭 Spotlight 建议、禁用 Siri（defaults 与 launchctl disable）、禁用 Handoff、禁用 AirDrop、禁用 Bonjour 多播通告、禁用红外接收器、如不需要可禁用蓝牙。
DNS 配置 DNS 加密方面提供两种方式：其一是 DNSCrypt-proxy（通过 Homebrew 安装、编辑 dnscrypt-proxy.toml、创建日志目录、启动服务、用 networksetup 将 Wi-Fi 与以太网 DNS 设为 127.0.0.1、用 scutil --dns 验证）；其二是加密 DNS 的配置描述文件（生成 .mobileconfig，DNSProtocol 为 HTTPS，服务器为 1.1.1.1 等，ServerURL 为 cloudflare-dns.com/dns-query，用 profiles install 安装并列出验证）。另外介绍通过 hosts 文件屏蔽跟踪域（备份 /etc/hosts、下载 StevenBlack 列表或自定义条目、刷新 DNS 缓存）。
证书管理 列出系统根证书、导出证书、删除证书（示例为移除 CNNIC ROOT）、添加自定义 CA（security add-trusted-cert）、查看证书详情等命令。
浏览器安全 Firefox 加固：通过 Homebrew 安装，创建 user.js 配置，示例包含禁用遥测、启用跟踪保护（社交跟踪、指纹识别、加密挖矿）、启用 HTTPS-only 模式、禁用 WebRTC、启用 DoH、禁用 Referer、退出时清除数据、禁用地理位置、抵抗指纹识别。Safari 加固：禁用预加载 Top Hit、禁用搜索建议、开启防跟踪、禁用自动填充、开启欺诈网站警告、禁用插件与弹窗。
VPN 配置 资料包含 WireGuard 安装部分（brew install ...），正文在此处截断，后续步骤暂未提供。
限制与注意事项 该指南以 Apple 芯片 Mac 与受支持 macOS 版本为前提；部分操作需恢复模式或管理员密码；FileVault 恢复密钥丢失将导致数据不可恢复；锁定模式会限制多项功能；具体版本兼容性与后续 VPN 完整步骤资料中暂未提供。